ich möchte mich ganz herzlich bei dir (und auch bei AVM) bedanken!
Gern geschehen ... danke für die positive Rückmeldung.
Trotzdem muß ich noch einmal nachhaken ...
Zertifikat einer externen Zertifizierungstelle für die eigene Domain (nicht möglich bei DynDNS und Co.)
Aussage von AVM ? Wenn ja, was versteht man dort unter "extern" ?
Ich konnte ohne Probleme (in Version 06.10-27982) ein Zertifikat, das von meiner eigenen CA unterschrieben wurde, importieren. Das Zertifikat ist auf den DynDNS-, den My!Fritz- und diverse interne Namen/Adressen (das spart beim HTTPS-Zugriff aus dem LAN das Lamentieren über ungültigen CN im Zertifikat) ausgestellt. Daß man solch ein Zertifikat nicht von einer "offiziellen" CA erhält, versteht sich aber von selbst. Die Firmware prüft aber - zumindest im Moment - offenbar keine "chain of trust" zu einer "offiziellen" CA, bevor sie das Zertifikat akzeptiert. Daher ist das zusätzliche Zertifikat einer Intermediate-CA auch nur notwendig, wenn diese IM-CA nicht bereits selbst im *Client* als vertrauenswürdig bekannt ist und man die daraus resultierende Meldung vermeiden will.
(dadurch wird auch das importieren der Zertifikate in vertrauenswürdige Speicher eingespart)
Da verstehe ich den Inhalt der Aussage (und die Quelle) nicht.
Fakt ist, daß die Box den privaten Schlüssel mit dem - bereits erwähnten - boxspezifischen Kennwort verschlüsselt und dann in /var/flash/websrv_ssl_key.pem speichert.
So kann man (mit ein paar Kniffen) den Schlüssel auslesen und auch decodieren, wenn man nur Zugriff auf die Kommandozeile einer Fritz!Box erhält und das ist - zumindest bei allen meinen Geräten - einfacher als viele glauben wollen. Aber wenigstens wird in Zukunft hoffentlich ein MITM-Angriff auf die Apps (wo man nur allzu leicht an Username und Password herankommen kann) schwerer, wenn AVM das mit den Zertifikaten konsequent bis zu den Apps durchzieht.
Da es im Moment aber noch zu leicht ist, in eine - auch fremde - Fritz!Box einzudringen, finde ich es persönlich eher eine schlechte Idee, wenn Du den privaten Schlüssel eines Zertifikats, das Du ja - wie Du geschrieben hast - auch für diverse andere Zwecke verwendest, der Fritz!Box "anvertraust". Solange es sich um ein eigens für die Box ausgestelltes Zertifikat handelt, ist das sicherlich zu verschmerzen, wenn man es als kompromittiert ansehen und entsorgen muß (wie so viele andere auch im Rahmen des Heartbleed-Bugs, selbst wenn der Fritz!OS nicht direkt betraf) bzw. wenn man diesem Zertifikat dann ein etwas geringeres Vertrauen entgegenbringt.
Das Zertifikat kann nun ohne Probleme mit dem Internet Explorer 11 --> ANDERE BROWSER HABEN BEI MIR NICHT FUNKTIONIERT in die Fritte importiert werden
Man lernt doch nie aus. Ich lerne daraus zwei Dinge:
1. Der IE11 überträgt bei "multipart/form-data"-POSTs offenbar Input-Elemente im Formular deutlich selektiver als es z.B. FF29 tut.
2. Der Entwickler bei AVM, der die Zertifikat-Thematik bearbeitet, testet mit IE11 (und damit offenbar auch mit einem Windows, für das es den IE11 gibt).
Wobei mich schon erheblich interessieren würde, wie Du mit AVM Kontakt aufgenommen hast.
Ich habe dort (mit einer einzigen Ausnahme) in den letzten (sagen wir mal etwa zwei) Jahren eigentlich immer nur auf Granit gebissen, erst recht mit Feedback/Nachfragen zu einer Labor-Version. Und ich benehme mich auch nicht immer wie die Axt im Walde ...
Eine Externe Sicherung seiner Zertifikate sollte man sowieso haben
Auch wenn ich das unterschreiben kann, gehört für mich zu einer sinnvollen Umsetzung des Themas eine Sicherung/Wiederherstellung auch dieser Dateien durch AVM.
